Хакеры Liquid обвинили Blockstream в провалах безопасности и потребовали вознаграждение 10%

Конфликт между Blockstream и группой, называющей себя "белыми" хакерами, резко обострился, следует из последнего обновления Самсона Моу. По словам злоумышленников, Blockstream допустила серьезные просчеты в защите, выделив на безопасность активов примерно на $5 млрд всего $1,5 млн — или, как они утверждают, вообще ничего. В новом обращении хакеры назвали ситуацию "вопиющим пренебрежением безопасностью" и потребовали выплатить из собственных средств компании bug bounty в размере 10%. В противном случае они пригрозили потерями для пользователей Liquid на уровне 15%. В сообщении также прозвучали обвинения в адрес Blockstream — "отрыв от реальности, жадность и высокомерие" — в связи с подходом к безопасности. Кроме того, группа заявила, что после этого планирует опубликовать приватный ключ, необходимый для расшифровки их переписки. Сама сеть Liquid остается на паузе: Blockstream и участники Federation продолжают внедрять дополнительные меры защиты, устраняют последствия разделения цепочки (chain split) и готовят скоординированный перезапуск. Пользователям также рекомендовано не отправлять Bitcoin на адреса pegin Liquid до восстановления работы сети. Новая перепалка последовала за выводом примерно 4 000 BTC (около $320 млн на тот момент) из кошелька Federation 6 сентября. Изначально сторона, стоявшая за выводом, представилась "whitehat"-хакерами и заявила, что вернет средства после устранения уязвимости и установки патчей на все затронутые узлы. После подтверждения Blockstream, что bridge-ноды были пропатчены, 3 400 BTC вернулись на кошелек Federation, тогда как около 598 BTC, по данным сообщения, остались у хакеров. Отдельно Моу в твите предупредил, что группа может недооценивать последствия своих действий. Он отметил, что решение Blockstream вести коммуникацию через PGP уже было "жестом вежливости", и усомнился, что публично признаться в изъятии BTC, а затем требовать вознаграждение — "мудрый шаг". Бывший директор по стратегии Blockstream также предположил, что участники оставили больше следов, чем думают, и подчеркнул: попытка вернуть средства не означает, что можно просто уйти от ответственности. "Для white hat дорога только расширяется; для black hat ты всегда на взводе. Мечты уйти с активами без последствий — лишь самообман. Некоторые двери, однажды открывшись, уже не закрываются".